GitLab

GitLab 处理用户上传图片时调用 ExifTool 解析元数据，ExifTool 的 DjVu 解析模块存在 Perl 代码注入，攻击者上传伪装成 JPEG 的恶意 DjVu 文件即可在服务器上执行任意命令；上传接口无需登录，仅需登录页公开的 CSRF 令牌。CVSS 10.0，影响 GitLab 11.9 起至 13.8.8、13.9.6、13.10.3 之前的版本。本文基于 Vulhub 靶场复现并拆解注入原理。